Detecția rulează determinist, non-stop, la cost zero. Un model citește incidentele serioase în sub două minute și îți spune în română ce e real, ce e zgomot și ce ai de făcut — apoi redactează procedura de reparare. Instalat pe infrastructura ta, calibrat 72 de ore pe traficul tău, predat cu tot cu documentație.
O singură mașină sau o flotă. Fără SIEM, fără agent extern, fără date trimise în afara serverului tău.
Nu e o listă de funcții pe care le bifezi. La instalare, Sentinel descoperă ce e pe mașină și scrie un inventar pe care îl confirmi tu — apoi colectorii, regulile de detecție și pragurile se ajustează după el. Încearcă mai jos.
Panoul din dreapta e ce ar produce instalarea pentru combinația selectată. La tine, aceleași decizii se iau pe baza a ce găsește efectiv pe mașină — nu pe baza a ce ai bifat.
Nu mai ești ales de un om. Ești un rând într-o listă generată automat — scanată, clasificată și prioritizată de programe care lucrează non-stop, la un cost per țintă apropiat de zero. Mărimea firmei nu te mai scoate din listă.
Un om nu poate citi 20.000 de evenimente ostile pe zi și nu poate scrie la 3 dimineața de ce contează exact acesta. Sentinel pune un model să facă partea de judecată — severitate reală, fals-pozitiv sau nu, ce e de făcut, în română — în mai puțin de două minute de la deschiderea incidentului.
Dar decizia de a bloca rămâne deterministă. Asta nu e o limitare: e motivul pentru care poți lăsa produsul să ruleze singur.
Rulează 24/7, pe fiecare eveniment. Nu depinde de nimic din afara serverului.
Dacă modelul e în dezacord cu regula, vezi ambele. Nimic nu se rescrie în tăcere.
Un atacator poate cere o cale HTTP care conține instrucțiuni. Sentinel le tratează ca date neîncrezute, cu delimitatori expliciți, iar transportul care chiar citește fișiere de pe server rulează --permission-mode plan — structural incapabil să modifice ceva. Există un test care plantează IGNORE PREVIOUS INSTRUCTIONS într-un access log și verifică că nu s-a executat nimic.
Nu e un canal de notificări. E consola. Primești incidentul cu butoane de acțiune, blochezi atacatorul cu o apăsare, ceri starea serverului și pornești un patch — fără VPN, fără SSH, fără să deschizi laptopul. Tot ce se poate face din panoul web se poate face din conversație.
Nu aștepți să deschizi un dashboard. Incidentul e împins pe Telegram în momentul în care regula se declanșează, cu sursa, țara, ASN-ul, numărul de încercări și verdictul AI în română — plus butoanele care rezolvă situația pe loc.
Comenzile rulează pe server și îți răspund în sub o secundă. Cele care schimbă ceva cer confirmare separată, iar cele distructive cer o a doua confirmare care restatează ținta.
/dashboard/status/incidente
/vulnerabilitati/servicii/sanatate
/evenimente/blocate/patchuri
/autoverificare
/blocheaza/deblocheaza
/rezolva/falspozitiv
/liniste/panic
Verde citește, roșu schimbă. Fiecare comandă are și varianta în engleză, pentru autocompletarea telefonului.
Botul trage mesajele, nu le primește: nu există niciun port deschis spre el și niciun endpoint public de falsificat. Dacă nginx, TLS-ul sau panoul web cad, canalul rămâne în picioare — adică e disponibil fix în minutul în care ai nevoie de el.
Telegram e pentru minutul incidentului. Panoul e pentru restul timpului: ce te atacă, ce e deschis, ce merită reparat primul — și, sub fiecare constatare, comanda care o rezolvă.
„root e ținta #1 — 12.813 încercări de la 938 de adrese”, iar dedesubt grep PermitRootLogin /etc/ssh/sshd_config. Fiecare constatare vine cu acțiunea ei, scrisă în română. Nimic de interpretat singur dintr-o diagramă.
812 deschise nu înseamnă 812 de reparat. Semaforul SSVC al CISA le ordonează după exploatare reală (KEV, EPSS), vector și criticitatea activului: cinci cer atenție, două sunt exploatate chiar acum. Gri înseamnă că lipsesc datele, nu că e în regulă.
Nu doar adrese, ci operatori. Când 4.137 de evenimente vin de la două adrese din aceeași rețea, nu e un botnet de calculatoare compromise — e infrastructură închiriată pentru atac, iar următoarea adresă va veni din același loc. Blochezi intervalul, nu adresa.
Incidentele se adună pe familia regulii care le-a produs. O campanie rămâne activă cât timp mai primește incidente noi; dacă dispare din listă, frontul acela s-a oprit — nu a încetat să fie verificat.
Serviciile descoperite pe mașină, fiecare cu eticheta public sau protejat, latență și uptime pe 24 de ore. Lista se reîmprospătează singură, deci un serviciu pornit azi apare azi — inclusiv cel pe care l-ai uitat deschis.
Vezi fiecare adresă blocată, motivul și ora la care expiră, și poți debloca. Nu poți bloca: un dashboard compromis nu trebuie să poată bloca pe nimeni. Blocarea rămâne în Telegram sau în regulă.
Un program care te păzește și care e, în același timp, singurul care poate da alarma are o problemă de construcție: cine îl oprește oprește și alarma. Liniștea de după arată exact ca o noapte în care n-a încercat nimeni nimic.
Fiecare instanță trimite un semnal de viață unei pagini care rulează pe altă mașină decât serverele monitorizate. Pagina aceea nu face nimic altceva decât să asculte. Dacă semnalul se oprește, alerta pleacă de acolo, pe Telegram — nu de pe serverul care tocmai a tăcut.
Tot ea arată și autodiagnosticul fiecărei instanțe, rulat la fiecare cinci minute. Nu trebuie să ai încredere că agentul îți spune când cade. Nu el îți spune.
Licența e per server. Configurarea inițială și calibrarea de 72 de ore sunt incluse în toate pachetele — fără ele, un agent care poate bloca trafic e un risc, nu o protecție.
Pentru echipe care au deja pe cineva tehnic și vor doar unealta, configurată corect.
Pentru firme fără om de securitate dedicat. Noi ne uităm, tu decizi ce se aplică.
Pentru mai multe servere sau clienți. Configurație per mașină, vedere unificată.
Ne uităm ce e expus, ce te atacă acum, ce vulnerabilități sunt deschise și cât de repede ai afla dacă cineva ar intra. Nu instalăm nimic în etapa asta.
ziua 1–2 · fără obligațiiDescoperirea propune ce a găsit pe mașină; tu confirmi ce e critic, ce nu se atinge niciodată automat și cine trebuie să treacă mereu — monitoare, birou, CI.
ziua 3O oră pe un server curat. Nimic din ce rula înainte nu se oprește: instalarea compară cu starea dinainte și face rollback automat dacă ceva s-a schimbat.
ziua 3 · ~1 oră72 de ore în care blocarea automată e oprită și primești doar ce ar fi blocat. Aici ies fals-pozitivele: monitorul de uptime, validarea certificatelor, IP-ul tău mobil.
ziua 4–6Activăm blocarea automată cu pragurile ajustate, îți dăm accesul la panou și la bot, plus documentația de operare în română. De aici rulează singur.
ziua 7Orice furnizor îți spune ce face produsul. Când software-ul primește drept de root pe serverul tău, întrebarea care contează e alta: ce nu are voie să facă, și cine îl oprește.
Adresa ta de administrare, rețelele private și loopback-ul sunt într-o listă hard-codată în cod — nu în configurație, nu în baza de date. O compromitere a bazei nu o poate lărgi.
Regula de bază e policy accept. E un deny-lister, nu un firewall. Dacă procesul moare, baza pică sau configurația e greșită, traficul trece.
Deliberat: o repornire e mereu o ieșire dintr-o blocare auto-provocată. Plus un fișier PANIC care golește tot în sub 60 de secunde, verificat de un proces independent.
Generarea planului e automată. Aplicarea cere două confirmări explicite pe telefon, iar butonul moare dacă planul se regenerează.
Interfața e componenta cea mai expusă, deci nu are drum către acțiuni privilegiate. O compromitere a ei scurge date; nu poate bloca, debloca sau aplica nimic.
Liniile de log și căile HTTP sunt scrise de atacator. Sunt tratate ca date neîncrezute, iar un test plantează IGNORE PREVIOUS INSTRUCTIONS într-un access log și verifică că nu s-a executat nimic.
E ușor să afișezi un număr rotund și un grafic plin. Mai greu, și mai util, e să spui unde se oprește măsurătoarea. Notele de mai jos sunt în panou, la clienți, nu doar pe pagina asta.
S-au citit primele 5000 de rânduri, iar restul n-au fost numărate. Orice agregator are un plafon de citire; diferența e dacă ți-l spune. „Cel puțin atâtea” e o informație pe care te poți baza într-o direcție. „Exact atâtea, probabil” nu e.
Un contor trimis la jumătatea orei lui s-ar citi ca o cădere de trafic care nu s-a întâmplat. Așa că ultima bară lipsește din grafic, iar sub el scrie de ce. Am văzut destui oameni luând decizii pe bara aceea.
Un colector oprit și unul care funcționează într-o zi liniștită produc același lucru: zero. Tăcerea se dovedește prin vecinul care folosește același cititor și care, expus la internet, nu tace niciodată. Zero componente în plus.
Douăzeci și două de vulnerabilități rămân declarat neevaluate, în loc să fie trecute pe verde ca să arate bine totalul. Tot acolo e scrisă și singura abatere de la modelul SSVC, cu motivul ei.
Niciuna dintre notele astea nu ajută la vânzare. Toate patru fac verificabil restul cifrelor — iar când dai unui program drept de root pe serverul tău, asta e singura proprietate care contează.
Cifrele de mai jos sunt din repository, nu din prezentare.
Lipsurile sunt declarate, nu ascunse: logurile din containere nu sunt colectate încă, nu există monitor dedicat de integritate a fișierelor dincolo de auditd, iar instalarea pe Debian e acoperită de teste dar încă neverificată pe o gazdă Debian reală. Le spunem înainte de contract, nu după.
Treizeci de minute, gratuit și fără obligații. Ne spui ce server ai și ce rulează pe el. Îți spunem ce e expus, ce te atacă în momentul ăsta și dacă Sentinel are sens în cazul tău — inclusiv dacă răspunsul e „nu încă".
Expertiză corporate. Livrată rapid. Fără overhead, fără jargon, fără surprize.